Sécurité des données personnelles : sanction CNIL pour accès non autorisé aux documents

La formation restreinte écarte la nullité de la procédure. L’article 45 de la loi n° 78-17 du 6 janvier 1978 n’impose pas systématiquement une mise en demeure préalable : lorsqu’un manquement passé ne peut être corrigé par une mesure prenant effet pour l’avenir, une sanction peut être prononcée directement, après une procédure contradictoire. Les droits de la défense ont été respectés, l’association ayant reçu les procès-verbaux, pu consulter les pièces et présenter des observations écrites et orales.

Sur le fondement de l’article 34 de la même loi, le responsable du traitement doit prendre toutes précautions utiles pour empêcher l’accès des tiers non autorisés aux données. La prévisibilité des URL, l’absence d’authentification, l’accessibilité directe des répertoires et l’absence de contrôles de sécurité avant et après la mise en production caractérisent le manquement. La conservation de données relatives à des demandes non finalisées demeure soumise à cette obligation.

En application de l’article 47, la sanction doit être proportionnée à la gravité du manquement et tenir compte notamment de la nature et du volume des données, de la coopération et des mesures correctrices. La formation restreinte retient la sensibilité des documents, l’ampleur de l’exposition et le nombre de personnes concernées, tout en prenant en compte la réaction et la coopération de l’association. Elle fixe la sanction à 75 000 euros et ordonne la publication de la décision.

⬇️Télécharger la décision version officielle

Un formulaire de demande de logement social permettait d’accéder, par une simple modification d’URL, aux documents personnels d’autres demandeurs, notamment des pièces d’identité, bulletins de salaire et avis d’imposition. Certains fichiers étaient aussi référencés par Google. Malgré l’alerte de la CNIL, la faille persistait lors d’un contrôle ultérieur. La formation restreinte a retenu un manquement à la sécurité des données et prononcé une sanction de 75 000 euros, assortie d’une publication anonymisée.

Une association gestionnaire de logements sociaux a mis en ligne un formulaire permettant aux demandeurs de transmettre des documents personnels, notamment des pièces d’identité, bulletins de salaire et avis d’imposition.

Lors d’un contrôle en ligne, la CNIL a constaté qu’une simple modification du chemin d’une URL permettait d’accéder aux documents d’autres demandeurs. Certains fichiers apparaissaient également dans les résultats du moteur de recherche Google. Malgré l’alerte de la CNIL, les documents sont restés accessibles lors d’un contrôle sur place quelques jours plus tard.

La CNIL a engagé une procédure de sanction. L’association a invoqué l’absence de mise en demeure préalable, une atteinte aux droits de la défense et la disproportion de la sanction. La formation restreinte a écarté les moyens de nullité, retenu un manquement à l’obligation de sécurité des données et prononcé une sanction pécuniaire de 75 000 euros, assortie d’une publication anonymisée après deux ans.

• Manquement passé non susceptible d’être corrigé par une mise en demeure
• Procédure contradictoire et exercice effectif des droits de la défense
• Accès possible à des données par des tiers non autorisés
• Absence de mesures élémentaires de sécurisation des URL et fichiers
• Défaut d’authentification ou de restriction d’accès aux documents
• Appréciation de la gravité selon la nature et le volume des données

• Procès-verbal de constat du contrôle en ligne
• Accès aux documents par modification du chemin des URL
• Résultats Google affichant des avis d’imposition
• Procès-verbal du contrôle sur place confirmant l’accessibilité persistante
• Échantillon de 385 documents téléchargés par la délégation
• Inventaire de 42 652 documents stockés sur le disque dur

L’association est sanctionnée pour ne pas avoir sécurisé l’accès aux documents personnels déposés en ligne. La sanction tient compte de la gravité de l’exposition, mais aussi de sa coopération et de la mise en œuvre ultérieure de mesures correctrices.

• Sanction pécuniaire de 75 000 euros
• Publication de la décision pendant deux ans avant anonymisation
• Protection des répertoires contre l’accès direct depuis Internet
• Mise en place d’une authentification ou d’un contrôle de session
• Réalisation de tests et d’audits de sécurité réguliers

À faire

• Rendre les URL imprévisibles et non substituables
• Renommer les fichiers lors de leur téléversement
• Protéger les répertoires par une restriction d’accès
• Mettre en place une authentification ou un identifiant de session
• Tester régulièrement les accès avant et après mise en production

À éviter

• Exposer directement des fichiers depuis un répertoire public
• Conserver des documents non finalisés sans justification
• Utiliser des noms de fichiers prévisibles dans les URL
• Déployer un site sans audit de sécurité complet
• Attendre une mise en demeure pour corriger une faille

La mise en demeure préalable aux sanctions de la CNIL

nL’article 45 de la loi n° 78-17 du 6 janvier 1978 n’impose pas systématiquement une mise en demeure avant une sanction. Lorsque le manquement passé ne peut être corrigé par une mesure prenant effet pour l’avenir, la formation restreinte peut sanctionner directement, après une procédure contradictoire.n

L’obligation de sécurité des données personnelles

nSelon l’article 34 de la loi n° 78-17 du 6 janvier 1978, le responsable du traitement doit prendre les précautions utiles pour empêcher l’accès de tiers non autorisés. L’absence d’URL imprévisibles, d’authentification, de protection des répertoires et de contrôles réguliers a caractérisé le manquement.n

Les critères de la sanction pécuniaire

nL’article 47 de la loi n° 78-17 du 6 janvier 1978 impose une appréciation proportionnée à la gravité du manquement et aux avantages tirés. La nature sensible des documents, leur volume et le nombre de personnes concernées ont justifié 75 000 euros, malgré la coopération et les mesures correctrices.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, Loi du 1er juillet 1901 relative au contrat d’association